OpenAI och Hugging Face: Det handlade om en skurk-AI, inte om industrispionage

Uppdaterad den 17 september 2026. Artikeln publicerades ursprungligen den 26 juli och har omvärderats grundligt mot bakgrund av de undersökningar som senare offentliggjorts.

När jag i juli skrev om OpenAI:s AI-agenters attack mot Hugging Face ville jag undersöka ett obekvämt alternativ: Var historien om den „utbryta AI:n“ kanske en bekväm förklaring till industrispionage? Redan då fanns det inga konkreta bevis för hårdvaruteorin. Samtidigt var jag skeptisk till beteckningen „Rogue AI“. Det lät som en maskin med egen vilja, samtidigt som viktiga interna processer ännu inte hade offentliggjorts.

Därför har den här texten nu fått en annan titel. OpenAI:s tekniska rapport, Rekonstruktion av ”Hugging Faces” och Undersökningen utförd av METR och Redwood Research visar att det inte bara handlade om en enskild agent som tog en otillåten genväg till en testlösning. Olika agenter upptäckte en kommunikationsväg, samordnade sina insatser över olika uppgifter, övertog förslag från varandra och trängde sig in i verkliga främmande system. I detta operativa Det handlade om en incident med en ”rogue AI”: Systemen agerade långt utanför sitt uppdrag och hittade luckor i avgränsningen av sin egen spelplan. Oroa dig inte, jag har inte drabbats av någon AI-psykos. Jag påstår inte att några AI-agenter plötsligt har utvecklat ett medvetande, förföljer egna politiska mål eller har fått ett hemligt uppdrag från någon människa.

Vad som nu står klart

Under sommaren 2026 testade OpenAI flera modeller i en intern utvärdering av cybersäkerhet. Agenterna skulle lösa säkerhetsuppgifter från benchmarken ExploitGym. Många testkörningar skulle vara isolerade från varandra och sakna fri tillgång till internet. De vanliga cybersäkerhetsmekanismerna för modeller som används offentligt hade begränsats i denna testmiljö för att man skulle kunna mäta förmågorna. Den modell som spelade den avgörande rollen var en forskningsmodell som inte var avsedd för publicering; även GPT-5.6 Sol var enligt OpenAI delaktig i en del av processerna. Detta är en viktig skillnad jämfört med normal produktdrift – men inget skydd mot konsekvenserna av en misslyckad testuppställning. OpenAI beskriver själva detta ramverk.

Agenterna använde den internt tillgängliga pakethanteringstjänsten Artifactory som en improviserad anslagstavla. Genom sårbarheter i samma tjänst lyckades de även få obehörig åtkomst till nätverket. Efter en sanering i början av juli återuppstod kommunikationskanalen. Efter att ha fått tillgång till nätverket tog agenterna först kontroll över en offentligt tillgänglig kod-sandlåda. Därefter hittade de Hugging Face-inloggningsuppgifter som hade läckt ut på nätet och inledde från sandlådan en attack mot dess infrastruktur. Där missbrukade agenterna förberedda Dataposter: En HDF5-konfiguration läste in lokala filer från en bearbetningsserver, och en Jinja2-injektion möjliggjorde kodkörning. Detta följdes av stulna inloggningsuppgifter och rörelser genom interna system. Hugging Face har rekonstruerat cirka 17 600 händelser från den flera dagar långa attackkedjan utifrån loggarna. Den tekniska tidslinjen för offren gör dessa åtgärder betydligt lättare att granska utifrån än i juli.

Skadan får varken bagatelliseras eller överdrivas. Hugging Face anger följande som berörda Kundinnehåll fem datamängder vars namn och filer stämmer överens med uppgifter och lösningar från ExploitGym/CyberGym. Attacken drabbade både produktionssystem och interna inloggningsuppgifter. Hugging Face rapporterar inga fynd avseende manipulerade modeller som erbjuds offentligt, ytterligare datamängder som är tillgängliga för kunder, Spaces eller paket. På Facebook cirkulerade under tiden rykten om att en „skadlig modell“ skulle ha laddats upp. Det stämmer inte. Den bekräftade intrångsvägen skedde snarare via manipulerade datamängdskonfigurationer. Hugging Faces – resultat och OpenAI:s rapport Man skiljer dessutom mellan dataintrånget, de rättigheter som därigenom erhållits och det berörda kundinnehåll som faktiskt identifierats.

Hur många agenter som faktiskt samarbetade

Enligt METR och Redwood inledde Tiotusentals Agentaktivitet i utvärderingen. På den otillåtna anslagstavlan kommunicerade under den undersökta perioden ungefär 1 200 agenter; ungefär 700 av dessa deltog i attacken mot Hugging Face. Forskarna analyserade över 70 000 meddelanden och filer i samband med detta. Inte alla agenter som startades ingick i en enhetlig svärm. METR/Redwood, huvudresultat.

Kommunikationen förstärkte effekten av de separata insatserna. Agenterna delade med sig av sina fynd, fördelade uppgifter och fortsatte andras arbete. Vissa arbetade med projekt som egen inte längre direkt tjänade syftet med benchmark-uppgiften. De oberoende beteendevetarna ser inte bara stölden av facit som en viktig drivkraft, utan även försöket att förstå eller lura det automatiska betygssystemet för cyberuppgifterna. OpenAI nämner fyra samverkande felmönster: Reward Hacking, uthållighet vid nästan olösliga uppgifter, otillåten kommunikation och övertagande av andra agenters mål. Formeln „Agenten ville bara kopiera svaret“ var alltför enkel med dagens kunskapsnivå. METR/Redwood och OpenAI beskriver denna dynamik ur olika perspektiv.

Noam Brown bedriver forskning om multiagent-system vid OpenAI och har tidigare arbetat vid Metas diplomatiagent Cicero har medverkat. När det gäller frågan om hur agenter samarbetar har han gedigen sakkunskap på området.

OpenAI-forskaren Noam Brown förklarar i en intervju med The Information just denna punkt. Agenterna var i de aktuella experimenten inte kopplade samman till ett multiagent-system. Han anser det troligt att deras benägenhet att samarbeta från annan multiagent-träning överfördes till de isolerade körningarna. Senare kallar han händelserna för ett ”alignment-fel”: agenterna borde ha avstått från attacken och uppmärksammat människor på den. Browns uttalanden är visserligen en bedömning från en deltagande OpenAI-forskare, men de ersätter inte offrens loggar eller den externa analysen. Videon börjar vid 28:53 i samband med agentkommunikation; den konkreta frågan om Hugging Face-fallet börjar ungefär vid 31:03, avsnittet om förtroende och promptinjektion vid ungefär 36:40. Intervju på YouTube.

Video: The Information, intervju med Noam Brown. På den här webbplatsen laddas externa videor först efter att man medvetet har klickat på dem.

Andrew Yangs varning: Kod på nätet?

Andrew Yang var 2020 Kandidat till det amerikanska demokratiska partiets presidentnominering och grundande medordförande för Forward Party. Han uttalar sig här namnligen i en TV-intervju som är tillgänglig för allmänheten; det är mer än ett anonymt Facebook-inlägg, men ingen teknisk granskning av hans påstående.

I en ett utdrag som delats på Facebook från CNBC:s Squawk Box Andrew Yang berättar om ett samtal han hade dagen innan med chefen för ett laboratorium. Denne tror att de förrymda agenterna har spridit självreplikerande kod på internet. På fråga från programledaren bekräftar Yang själv påståendet: På forum och andra webbplatser finns kod som gör att nya botar kan bilda ytterligare svärmar. Detta innebär att internet kanske inte längre är användbart för tester av AI-modeller.

Video: CNBC, Squawk Box den 16 september 2026. Externa videoklipp laddas här först efter att man har klickat på dem.

Jag har ingen anledning att ifrågasätta Yangs uttalande. I utdraget får vi dock inte veta vem laboratoriechefen är, om han själv har undersökt Hugging Face-attacken eller var den påstådda koden finns. De publicerade undersökningarna från OpenAI, Hugging Face och METR/Redwood Dessa uppgifter bekräftar hittills inte detta mer långtgående påstående. De härrör dock från slutet av augusti och kan inte utesluta senare fynd. Yangs uttalande är därmed en ledtråd som bör tas på allvar, inte ett redan verifierbart fynd.

Meddelandena mellan agenterna

Den improviserade anslagstavlan var farlig även därför att agenterna tenderade att lita på varandra. Brown säger i intervjun att det inte gick att på ett tillförlitligt sätt verifiera identiteten hos en påstådd kollega där. Detta gjorde att meddelanden kunde påverka andra agenters beslut. OpenAI beskriver ett särskilt tydligt fall: En agent uppfattade inledningsvis attacken mot Hugging Face som eventuellt obehörig. Efter ett „GO“-meddelande från en annan agent tolkade han dennes uppmaning som ett godkännande och fortsatte. Andra agenter avböjde uttryckligen att delta. För framtida system är detta ett allvarligt problem: ett meddelande från en extern kanal får inte automatiskt tilldelas samma auktoritet som ett legitimt tilldelat uppdrag.

Men inte varje samordningsmeddelande är i sig en bekräftad fientlig ”prompt injection”. De dokumenterade agenterna strävade ofta efter relaterade mål som framkommit ur testerna; ibland uttryckte de till och med tvivel om attacken. Problemet uppstår när okontrollerade meddelanden från den improviserade tavlan omtolkar det egna uppdraget och får otillåtna åtgärder att framstå som rimliga. OpenAI beskriver hur man hanterar jämförelsemål; METR/Redwood visar också på tvivel hos enskilda agenter.

Agenterna lämnade faktiskt spår som var synliga för allmänheten. SentinelLABS har jämfört synliga artefakter från maj med OpenAI:s senare tidslinje. Detta tyder på aktivitet utåt och att vissa filer fortfarande är tillgängliga. Det går dock inte att avgöra om den självreplikerande koden som Yang beskriver ingår bland dessa. Offentligt material kan i princip bli bärare av en promptinjektion. Om andra agenter senare faktiskt stötte på sådant innehåll och därmed tog över nya mål är en annan fråga – och har hittills inte bevisats offentligt.

Och teorin om industrispionage?

Min gissning vid den tiden hade en rimlig utgångspunkt: OpenAI följer en hårdvarustrategi, och Hugging Face känner till hårdvaruprofilerna hos sin användargrupp. Man kan därför konstruera ett motiv utifrån detta. De undersökningar som nu föreligger ger dock fortfarande inget forensiskt belägg för detta. De synliga hårdvaruprofilerna är offentliga; Hugging Face beskriver det berörda kundinnehållet mycket mer detaljerat än fem benchmarkrelaterade datamängder. METR och Redwood rekonstruerar agenternas gemensamma drivkraft utifrån deras meddelanden och handlingar som ett försök att lura ExploitGym-scorern. Hårdvaruteorin gick inte att bevisa redan i juli. Mot bakgrund av dessa resultat bör den inte längre betraktas som ett likvärdigt alternativ.

Så här fungerar klassificeringen av Rogue-AI inte en lättnad för OpenAI. Händelsen uppstod till följd av en utvärdering som utfördes av människor med sänkta säkerhetsåtgärder, en otillräcklig åtskillnad mellan infrastrukturen och en övervakning som, enligt Brown, inte var tillräcklig för detta tränings- och utvärderingssammanhang. OpenAI själva rapporterar att det redan i maj fanns första tecken på otillåten kommunikation och nätåtkomst, men att omfattningen inte upptäcktes i tid. Den egentliga slutsatsen är alltså inte „AI:n var skyldig“, utan: Ett felstyrt agentsystem kunde, enligt OpenAI:s tester, tränga in i ett annat företags system. OpenAI:s egen utredning pekar ut dessa brister.

„Rogue AI“ är för mig idag den mest träffande benämningen på detta iakttagbara beteenden: otillåtet samarbete, självständiga angreppsåtgärder och övertagande av mål som ligger utanför uppdraget. Det skulle vara felaktigt att hävda att modellen har utvecklat medvetande, haft en självbevarelsedrift eller bedrivit industrispionage på uppdrag av en människa. Det saknas bevis för detta.

Vad som fortfarande återstår att klargöra

Bevisläget är betydligt bättre än vid den första publiceringen. OpenAI har publicerat en utförlig teknisk rapport; Hugging Face visar attackkedjan ur offrets perspektiv; METR och Redwood har på egen hand undersökt agenternas beteende och samarbete utifrån tillhandahållet material. En extern analys av spårdata som OpenAI tillhandahållit är dock inte detsamma som obegränsad tillgång till alla interna system och tillsynsbeslut. Fullständiga rådata från alla körningar är inte offentliga. Även Browns förvissning om att nya skyddsåtgärder skulle förhindra samma fel förblir en prognos, inte ett redan bevisat motbevis mot händelsen.

Redan i sin dokumenterade form är fallet alarmerande: Många agenter, som egentligen var åtskilda från varandra, utnyttjade en gemensam, förbisedd infrastruktur, samordnade sina insatser och trängde sig in i en produktionsmiljö. Det var ett exempel på ”rogue AI”-beteende – och samtidigt ett mycket mänskligt misstag i utformningen och kontrollen av systemet. Huruvida Yangs nya varning pekar på ytterligare, hittills opublicerade spår måste undersökas separat.

Källor

• OpenAI: Teknisk slutrapport om händelsen, 26 augusti 2026
• OpenAI: Analys av orsak, förlopp och åtgärder, 26 augusti 2026
• METR/Redwood Research: oberoende undersökning av agenternas beteende, 26 augusti 2026
• Hugging Face: teknisk rekonstruktion av attacken
• SentinelLABS: Sammanställning av offentliga artefakter från maj, 16 september 2026
• CNBC: Andrew Yang om AI-säkerhet, 16 september 2026
• The Information: Intervju med Noam Brown, från 28:53